jinxhy/awesome-moai-securityモバイルオンデバイスAIシステムの攻撃と防御研究に関する厳選された読書リストと分類法。敵対的攻撃、バックドア攻撃、モデル窃取攻撃、エネルギー遅延攻撃とともに、難読化、TEE、ウォーターマーキング防御を網羅しています。
# モバイルオンデバイスAIセキュリティのすごいリソース集
<p align="center">
<img src="https://img.shields.io/badge/Companion%20Resource%20for-SoK%20on%20MoAI%20Security-2563EB?style=for-the-badge" height="28" align="absmiddle" />
</p>
<h2 align="center">SoK: モバイルオンデバイスAIシステムの攻撃と防御の全体像</h3>
モバイルオンデバイスAIシステムは、**LiteRT/TFLite**、**Core ML**、**ExecuTorch**、**ONNX**などのMLフレームワークとハードウェアバックアップアクセラレータを通じて、AIモデルをローカルで実行します。このリポジトリは、オンデバイスモデルのローカル保存が新たなセキュリティリスクをもたらすため、そのようなシステムを理解し保護するために必要なセキュリティ研究を追跡します。
## モバイルオンデバイスAIシステムの概要
<p align="center">
<img src="https://assets.kitploit.com/production/public/readmes/714/ea9f0160c308b88a130c48a071c544d1c0765d4d221298b41899c35755abac69.jpg" alt="Overview of a Mobile On-Device AI system">
</p>
## 目次
- [読書ロードマップ](#reading-roadmap)
- [分類の概要](#taxonomy-at-a-glance)
- [柱横断セキュリティ分析](#cross-pillar-security-analysis)
- [MoAIシステムへの攻撃](#attacks-on-moai-systems)
- [敵対的攻撃](#adversarial-attacks)
- [モデル類似性の悪用](#model-similarity-exploitation)
- [勾配再構成](#gradient-reconstruction)
- [前処理操作](#preprocessing-manipulation)
- [バックドア攻撃](#backdoor-attacks)
- [ペイロード注入](#payload-injection)
- [モデル量子化](#model-quantization)
- [画像ステガノグラフィー](#image-steganography)
- [敵対的ウェイト攻撃](#adversarial-weight-attacks)
- [モデル窃取攻撃](#model-stealing-attacks)
- [静的解析](#static-analysis)
- [動的解析](#dynamic-analysis)
- [サイドチャネル](#side-channel)
- [エネルギー・レイテンシ攻撃](#energy-latency-attacks)
- [MoAIシステムの防御](#defenses-for-moai-systems)
- [モデル難読化](#model-obfuscation)
- [ソフトウェアレベルの隠蔽](#software-level-concealment)
- [ハードウェアレベルの隠蔽](#hardware-level-concealment)
- [モデル認可](#model-authorization)
- [信頼できる実行環境](#trusted-execution-environments)
- [モノリシック実行](#monolithic-execution)
- [分割実行](#partitioned-execution)
- [難読化オフロード](#obfuscated-offloading)
- [モデル透かし](#model-watermarking)
- [未解決の問題](#open-problems)
- [新たな方向性](#emerging-directions)
## 読書ロードマップ
MoAIセキュリティに初めて触れる方は、ここから始めてください:
1. **エコシステムを理解する。** Android/iOSアプリにおけるディープラーニングアプリとオンデバイスモデルに関する実証研究を読みましょう。
2. **中核リスクを学ぶ。** モデル抽出とモデル保護に関する論文を研究しましょう。ローカルモデルの常駐がMoAIシステムにおける中心的なセキュリティシフトだからです。
3. **攻撃面を理解する。** MoAI攻撃が入力インターフェース、モデルアーティファクト、ランタイム実行、ハードウェアバックアップ環境にわたってどのように発生するかを研究しましょう。
4. **防御を攻撃面に結び付ける。** MoAI防御が展開前、ランタイム実行、展開後の各フェーズでこれらの面をどのように保護するかを検討しましょう。
5. **将来を見据える。** オンデバイストレーニング、オンデバイスGenAI、エージェント型MoAIシステムにおける新たなセキュリティ課題を探りましょう。
<img src="https://img.shields.io/badge/-A%20minimal%20first--week%20reading%20path%20for%20newcomers%20to%20MOAI%20security-2563EB?style=for-the-badge" height="28" align="absmiddle" alt="A minimal first-week reading path for newcomers to MOAI security." />
<img src="https://img.shields.io/badge/Ecosystem-4C78A8?style=flat" height="22" align="absmiddle" /><br>
• <img src="https://img.shields.io/badge/Android-6B7280?style=flat" height="18" align="absmiddle" /> [スマートフォン上のディープラーニングアプリの初期的調査](https://arxiv.org/pdf/1812.05448)
• <img src="https://img.shields.io/badge/iOS-6B7280?style=flat" height="18" align="absmiddle" /> [iOSアプリにおけるオンデバイスモデルの初期的調査](https://arxiv.org/pdf/2307.12328)
<img src="https://img.shields.io/badge/Core%20Risk-D97706?style=flat" height="22" align="absmiddle" /><br>
• <img src="https://img.shields.io/badge/Stealing-9A3412?style=flat" height="18" align="absmiddle" /> [Mind Your Weight(s): モバイルアプリにおける不十分なMLモデル保護に関する大規模研究](https://www.usenix.org/conference/usenixsecurity21/presentation/sun-zhichuang)
<img src="https://img.shields.io/badge/Attack%20Surfaces-7F1D1D?style=flat" height="22" align="absmiddle" /><br>
• <img src="https://img.shields.io/badge/Adversarial-B91C1C?style=flat" height="18" align="absmiddle" /> [オンデバイスモデルの堅牢性: Androidアプリ上のディープラーニングモデルへの敵対的攻撃](https://arxiv.org/pdf/2101.04401)
• <img src="https://img.shields.io/badge/Backdoor-BE123C?style=flat" height="18" align="absmiddle" /> [DeepPayload: ニューラルペイロード注入によるディープラーニングモデルへのブラックボックスバックドア攻撃](https://dl.acm.org/doi/10.1109/ICSE43902.2021.00035)
• <img src="https://img.shields.io/badge/Weight-9F1239?style=flat" height="18" align="absmiddle" /> [Typhon Unleashed: オンデバイスディープラーニングモデルに対する実用的な敵対的ウェイト攻撃](https://ieeexplore.ieee.org/document/11407485)
• <img src="https://img.shields.io/badge/Latency-92400E?style=flat" height="18" align="absmiddle" /> [スポンジポイズニングによるオンデバイスニューラルネットワークへのエネルギー・レイテンシ攻撃](https://arxiv.org/pdf/2305.03888)
<img src="https://img.shields.io/badge/Defenses-166534?style=flat" height="22" align="absmiddle" /><br>
• <img src="https://img.shields.io/badge/Obfuscation-047857?style=flat" height="18" align="absmiddle" /> [ModelObfuscator: 展開されたMLベースシステムを保護するためのモデル情報の難読化](https://arxiv.org/pdf/2306.06112)
• <img src="https://img.shields.io/badge/TEE-0F766E?style=flat" height="18" align="absmiddle" /> [ShadowNet: 安全で効率的なオンデバイスモデル推論システム](https://arxiv.org/abs/2011.05905)
• <img src="https://img.shields.io/badge/Watermarking-0E7490?style=flat" height="18" align="absmiddle" /> [THEMIS: 展開後オンデバイスDLモデルの実用的なIP保護に向けて](https://www.usenix.org/conference/usenixsecurity25/presentation/huang-yujin)
## 分類の概要
| MoAIセキュリティの柱 | 保護対象 | 代表的な攻撃 | 代表的な防御 |
|---|---|---|---|
| **ユーザー管理の入力整合性** | モバイルデータ取得からモデル入力への受け渡しまでの、ユーザー入力のエンドツーエンドの整合性 | 敵対的攻撃、バックドア攻撃、エネルギー・レイテンシ攻撃 | - |
| **デバイス常駐モデルのセキュリティ** | 展開されたモデルアーティファクトと、モデルがデバイス上で保存、読み込み、変換、または実体化されるすべての展開後形態 | 敵対的攻撃、バックドア攻撃、敵対的ウェイト攻撃、モデル窃取攻撃、エネルギー・レイテンシ攻撃 | モデル難読化、モデル認可、TEE、モデル透かし |
| **デバイスネイティブ環境の封じ込め** | モバイルOS、AIランタイム、メモリサブシステム、ハードウェアバックアップ実行環境にわたる機密推論計算とランタイム状態 | モデル窃取攻撃、エネルギー・レイテンシ攻撃 | モデル難読化、TEE |
## 柱横断セキュリティ分析
<p align="center">
<img src="https://raw.githubusercontent.com/jinxhy/awesome-moai-security/main/figures/attack-pillar.jpg" alt="Cross-pillar security analysis of attacks and open problems in MoAI systems.">
<img src="https://raw.githubusercontent.com/jinxhy/awesome-moai-security/main/figures/defense-pillar.jpg" alt="Cross-pillar security analysis of defenses and open problems in MoAI systems.">
</p>
## MoAIシステムへの攻撃
<a id="adversarial-attacks"></a>
<img src="https://img.shields.io/badge/Adversarial%20Attacks-B91C1C?style=flat" height="24" align="absmiddle" />
#### モデル類似性の悪用
- [**オンデバイスモデルの堅牢性: Androidアプリ上のディープラーニングモデルへの敵対的攻撃**](https://dl.acm.org/doi/10.1109/ICSE-SEIP52600.2021.00019) [[コード](https://github.com/Jinxhy/AppAIsecurity)]
<sub>IEEE/ACM 国際ソフトウェア工学会議: ソフトウェアエンジニアリング実践 (ICSE-SEIP 2021)</sub>
- [**Smart App Attack: Androidアプリのディープラーニングモデルをハッキングする**](https://dl.acm.org/doi/10.1109/TIFS.2022.3172213) [[コード](https://github.com/Jinxhy/SmartAppAttack)]
<sub>IEEE 情報フォレンジクスとセキュリティに関するトランザクション (TIFS 2022)</sub>
- [**Androidアプリにおけるディープラーニングモデルへの現実世界の脅威を理解する**](https://dl.acm.org/doi/10.1145/3548606.3559388) [[コード](https://github.com/Advdroid/advdroid-pro)]
<sub>ACM SIGSAC コンピュータおよび通信セキュリティ会議 (CCS 2022)</sub>
- [**アプリを騙す: ディープラーニングアプリへのブラックボックス敵対的攻撃**](https://onlinelibrary.wiley.com/doi/10.1002/smr.2528)
<sub>Journal of Software: Evolution and Process (JSEP 2024)</sub>
- [**iOSアプリにおけるオンデバイスモデルの初期的調査**](https://dl.acm.org/doi/10.1145/3617177) [[コード](https://github.com/huhanGitHub/iOS-App-database)]
<sub>ACM ソフトウェア工学と方法論に関するトランザクション (TOSEM 2024)</sub>
#### 勾配再構成
- [**オンデバイスモデルに対するホワイトボックス攻撃の調査**](https://arxiv.org/abs/2402.05493) [[コード](https://github.com/zhoumingyi/REOM)]
<sub>IEEE/ACM 国際ソフトウェア工学会議 (ICSE 2024)</sub>
- [**TIM: アプリ内ディープラーニングモデルに対する大規模ホワイトボックステストを可能にする**](https://doi.org/10.1109/TIFS.2024.3455761) [[コード](https://zenodo.org/record/7548141)]
<sub>IEEE 情報フォレンジクスとセキュリティに関するトランザクション (TIFS 2024)</sub>
#### 前処理操作
- [**モデルを超えて: Androidアプリのディープラーニングモデルへのデータ前処理攻撃**](https://dl.acm.org/doi/10.1145/3591197.3591308) [[コード](https://github.com/Alexender-Ye/attack-focused-on-pre-processing)]
<sub>安全で信頼できるディープラーニングシステムワークショップ (SecTL 2023)</sub>
<a id="backdoor-attacks"></a>
<img src="https://img.shields.io/badge/Backdoor%20Attacks-BE123C?style=flat" height="24" align="absmiddle" />
#### ペイロード注入
- [**DeepPayload: ニューラルペイロード注入によるディープラーニングモデルへのブラックボックスバックドア攻撃**](https://dl.acm.org/doi/10.1109/ICSE43902.2021.00035) [[コード](https://github.com/yuanchun-li/DeepPayload)]
<sub>IEEE/ACM 国際ソフトウェア工学会議 (ICSE 2021)</sub>
- [**MalModel: ブラックボックスバックドア攻撃でモバイルディープラーニングモデルに悪意のあるペイロードを隠す**](https://link.springer.com/article/10.1007/s10515-025-00569-7) [[コード](https://github.com/hjygh/MalModel)]
<sub>自動ソフトウェア工学 (ASEJ 2026)</sub>
#### モデル量子化
- [**商用ディープラーニングフレームワークへの量子化バックドア**](https://arxiv.org/abs/2108.09187) [[コード](https://github.com/quantization-backdoor/quantization-backdoor)]
<sub>IEEE 依存性およびセキュアコンピューティングに関するトランザクション (TDSC 2024)</sub>
#### 画像ステガノグラフィー
- [**Androidアプリの実世界モデルへのステルスバックドア攻撃**](https://arxiv.org/abs/2501.01263)
<sub>arXivプレプリント (arXiv 2025)</sub>
<a id="adversarial-weight-attacks"></a>
<img src="https://img.shields.io/badge/Adversarial%20Weight%20Attacks-9F1239?style=flat" height="24" align="absmiddle" />
- [**Typhon Unleashed: オンデバイスディープラーニングモデルに対する実用的な敵対的ウェイト攻撃**](https://ieeexplore.ieee.org/document/11407485)
<sub>IEEE 依存性およびセキュアコンピューティングに関するトランザクション (TDSC 2026)</sub>
<a id="model-stealing-attacks"></a>
<img src="https://img.shields.io/badge/Model%20Stealing%20Attacks-9A3412?style=flat" height="24" align="absmiddle" />
#### 静的解析
- [**スマートフォン上のディープラーニングアプリの初期的調査**](https://arxiv.org/pdf/1812.05448) [[コード](https://github.com/xumengwei/MobileDL)]<br>
<sub>ワールドワイドウェブ会議 (WWW 2019)</sub>
- [**iOSアプリにおけるオンデバイスモデルの初期的調査**](https://arxiv.org/pdf/2307.12328) [[コード](https://github.com/huhanGitHub/iOS-App-database)]<br>
<sub>ACM ソフトウェア工学と方法論に関するトランザクション (TOSEM 2023)</sub>
- [**Mind Your Weight(s): モバイルアプリにおける不十分な機械学習モデル保護に関する大規模研究**](https://www.usenix.org/conference/usenixsecurity21/presentation/sun-zhichuang) [[コード](https://github.com/RiS3-Lab/ModelXRay)]<br>
<sub>USENIX セキュリティシンポジウム (USENIX Security 2021)</sub>
- [**REDLC: ディープラーニングコンパイラの学習駆動型リバースエンジニアリング**](https://doi.org/10.1109/ISSRE62328.2024.00029)<br>
<sub>IEEE 国際ソフトウェア信頼性工学シンポジウム (ISSRE 2024)</sub>
#### 動的解析
- [**Mind Your Weight(s): モバイルアプリにおける不十分な機械学習モデル保護に関する大規模研究**](https://www.usenix.org/conference/usenixsecurity21/presentation/sun-zhichuang) [[コード](https://github.com/RiS3-Lab/ModelXRay)]<br>
<sub>USENIX セキュリティシンポジウム (USENIX Security 2021)</sub>
- [**Androidアプリにおけるディープラーニングモデルへの現実世界の脅威を理解する**](https://dl.acm.org/doi/10.1145/3548606.3559388) [[コード](https://github.com/Advdroid/advdroid-pro)]<br>
<sub>ACM SIGSAC コンピュータおよび通信セキュリティ会議 (CCS 2022)</sub>
- [**DeMistify: モバイルアプリにおけるオンデバイス機械学習モデルの窃取と再利用の脆弱性の特定**](https://dl.acm.org/doi/10.1145/3597503.3623325) [[コード](https://github.com/MGYN/DeMistify)]<br>
<sub>IEEE/ACM 国際ソフトウェア工学会議 (ICSE 2024)</sub>
- [**Game of Arrows: オンデバイスTEEシールドLLM分割アルゴリズムのウェイト難読化の(非)安全性について**](https://www.usenix.org/conference/usenixsecurity25/presentation/wang-pengli) [[コード](https://github.com/qsxltss/Game-of-Arrows)]<br>
<sub>USENIX セキュリティシンポジウム (USENIX Security 2025)</sub>
#### サイドチャネル
- [**電力サイドチャネルによるオンデバイスディープラーニングに対するモデル抽出攻撃**](https://doi.org/10.1109/ISQED60706.2024.10528716)
<sub>IEEE 国際品質電子設計シンポジウム (ISQED 2024)</sub>
- [**DeepCache: ディープニューラルネットワーク実行ファイルにおけるキャッシュサイドチャネル攻撃の再検討**](https://dl.acm.org/doi/10.1145/3658644.3690239)
<sub>ACM SIGSAC コンピュータおよび通信セキュリティ会議 (CCS 2024)</sub>
<a id="energy-latency-attacks"></a>
<img src="https://img.shields.io/badge/Energy--latency%20Attacks-92400E?style=flat" height="24" align="absmiddle" />
- [**スポンジポイズニングによるオンデバイスニューラルネットワークへのエネルギー・レイテンシ攻撃**](https://dl.acm.org/doi/10.1145/3591197.3591307)
<sub>安全で信頼できるディープラーニングシステムワークショップ (SecTL 2023)</sub>
## MoAIシステムの防御
<a id="model-obfuscation"></a>
<img src="https://img.shields.io/badge/Model%20Obfuscation-047857?style=flat" height="24" align="absmiddle" />
#### ソフトウェアレベルの隠蔽
- [**ModelObfuscator: 展開されたMLベースシステムを保護するためのモデル情報の難読化**](https://dl.acm.org/doi/10.1145/3597926.3598113) [[コード](https://github.com/zhoumingyi/ModelObfuscator)]<br>
<sub>ACM SIGSOFT 国際ソフトウェアテストおよび解析シンポジウム (ISSTA 2023)</sub>
- [**DynaMO: 難読化されたDL演算子の結合によるモバイルDLモデルの保護**](https://dl.acm.org/doi/10.1145/3691620.3694998) [[コード](https://github.com/zhoumingyi/DynaMO)]<br>
<sub>IEEE/ACM 国際自動ソフトウェア工学会議 (ASE 2024)</sub>
- [**モデルレスが最良のモデル: オンデバイスDLモデルを置き換える純粋なコード実装の生成**](https://dl.acm.org/doi/10.1145/3650212.3652119) [[コード](https://github.com/zhoumingyi/CustomDLCoder)]<br>
<sub>ACM SIGSOFT 国際ソフトウェアテストおよび解析シンポジウム (ISSTA 2024)</sub>
#### ハードウェアレベルの隠蔽
- [**NNSplitter: 自動ウェイト難読化によるDNNモデルの能動的防御ソリューション**](https://proceedings.mlr.press/v202/zhou23h.html) [[コード](https://github.com/Tongzhou0101/NNSplitter)]<br>
<sub>国際機械学習会議 (ICML 2023)</sub>
- [**バイナリディープニューラルネットワークへの不正アクセスを防ぐ多数決ロジックに基づく新しい難読化手法**](https://www.nature.com/articles/s41598-025-09722-4)<br>
<sub>Scientific Reports (Sci. Rep. 2025)</sub>
- [**ハードウェアバインディングと可逆難読化によるオンデバイストランスフォーマーの保護**](https://ieeexplore.ieee.org/document/11391918) [[コード](https://github.com/sarendis56/PUF-Transformer-IP-Protection)]<br>
<sub>年次コンピュータセキュリティアプリケーション会議 (ACSAC 2025)</sub>
<a id="model-authorization"></a>
<img src="https://img.shields.io/badge/Model%20Authorization-0A7763?style=flat" height="24" align="absmiddle" />
- [**MMGuard: Androidアプリのオンデバイスディープラーニングモデルを自動的に保護する**](https://ieeexplore.ieee.org/document/9474328) [[コード](https://github.com/MMGuard123/MMGuard)]<br>
<sub>IEEE セキュリティとプライバシーワークショップ (SPW 2021)</sub>
- [**ハードウェアバインディングと可逆難読化によるオンデバイストランスフォーマーの保護**](https://ieeexplore.ieee.org/document/11391918) [[コード](https://github.com/sarendis56/PUF-Transformer-IP-Protection)]<br>
<sub>年次コンピュータセキュリティアプリケーション会議 (ACSAC 2025)</sub>
<a id="trusted-execution-environments"></a>
<img src="https://img.shields.io/badge/Trusted%20Execution%20Environments-0F766E?style=flat" height="24" align="absmiddle" />
#### モノリシック実行
- [**Offline Model Guard: モバイルデバイス上の安全でプライベートなML**](https://arxiv.org/abs/2007.02351)<br>
<sub>欧州設計自動化およびテスト会議 (DATE 2020)</sub>
- [**GuardiaNN: 組み込みSRAMと暗号ハードウェアを使用したTrustZoneでの高速かつ安全なオンデバイス推論**](https://dl.acm.org/doi/10.1145/3528535.3531513)<br>
<sub>ACM/IFIP 国際ミドルウェア会議 (Middleware 2022)</sub>
- [**信頼できる実行環境を使用した安全で効率的なモバイルDNN**](https://dl.acm.org/doi/10.1145/3579856.3582820)<br>
<sub>ACM アジアコンピュータおよび通信セキュリティ会議 (AsiaCCS 2023)</sub>
- [**T-Slices: Arm TrustZoneによる信頼されていないエッジでのディープラーニング推論の機密実行**](https://dl.acm.org/doi/10.1145/3577923.3583648)<br>
<sub>ACM データおよびアプリケーションセキュリティとプライバシー会議 (CODASPY 2023)</sub>
- [**LEAP: インテリジェントモバイルアプリ向けのTrustZoneベースの開発者フレンドリーなTEE**](https://dl.acm.org/doi/10.1109/TMC.2022.3207745)<br>
<sub>IEEE モバイルコンピューティングに関するトランザクション (TMC 2022)</sub>
- [**ASGARD: 仮想化ベースの信頼できる実行環境によるオンデバイスディープニューラルネットワークの保護**](https://www.ndss-symposium.org/ndss-paper/asgard-protecting-on-device-deep-neural-networks-with-virtualization-based-trusted-execution-environments/) [[コード](https://github.com/yonsei-sslab/asgard)]<br>
<sub>ネットワークおよび分散システムセキュリティシンポジウム (NDSS 2025)</sub>
- [**TZ-LLM: Arm TrustZoneによるオンデバイス大規模言語モデルの保護**](https://arxiv.org/abs/2511.13717) [[コード](https://zenodo.org/records/17054270)]<br>
<sub>欧州コンピュータシステム会議 (EuroSys 2026)</sub>
- [**FlexServe: 柔軟なリソース分離を備えたモバイルデバイス向けの高速かつ安全なLLMサービスシステム**](https://arxiv.org/abs/2603.09046)<br>
<sub>arXivプレプリント (arXiv 2026)</sub>
#### 分割実行
- [**DarkneTZ: 信頼できる実行環境を使用したエッジでのモデルプライバシーに向けて**](https://arxiv.org/abs/2004.05703) [[コード](https://github.com/mofanv/darknetz)]<br>
<sub>年次国際モバイルシステム、アプリケーション、サービス会議 (MobiSys 2020)</sub>
- [**HybridTEE: ハイブリッド信頼できる実行環境を使用した安全なモバイルDNN実行**](https://par.nsf.gov/servlets/purl/10217344) [[コード](https://github.com/hwsel/HybridTEE)]<br>
<sub>アジアハードウェア指向セキュリティおよびトラストシンポジウム (AsianHOST 2020)</sub>- [**SecDeep: モバイルおよびIoTデバイス向けのセキュアで高性能なオンデバイス深層学習推論フレームワーク**](https://dl.acm.org/doi/10.1145/3450268.3453524)<br>
<sub>モノのインターネット設計・実装に関する国際会議 (IoTDI 2021)</sub>
- [**ShadowNet: 畳み込みニューラルネットワーク向けのセキュアで効率的なオンデバイスモデル推論システム**](https://ieeexplore.ieee.org/document/10179382) [[コード](https://github.com/RiS3-Lab/ShadowNet)]<br>
<sub>IEEEセキュリティおよびプライバシーシンポジウム (S&P 2023)</sub>
- [**MirrorNet: セキュアなオンデバイスDNN推論のためのTEEフレンドリーなフレームワーク**](https://arxiv.org/abs/2311.09489)<br>
<sub>IEEE/ACM コンピュータ支援設計に関する国際会議 (ICCAD 2023)</sub>
- [**TSQP: エッジデバイス上の量子化ニューラルネットワークのリアルタイム推論を保護する**](https://ieeexplore.ieee.org/document/11023493) [[コード](https://github.com/D1aoBoomm/TSQP)]<br>
<sub>IEEEセキュリティおよびプライバシーシンポジウム (S&P 2025)</sub>
- [**TEESlice: 攻撃者が事前学習モデルを保有する場合に、信頼できる実行環境内の機密ニューラルネットワークモデルを保護する**](https://dl.acm.org/doi/10.1145/3707453)<br>
<sub>ACM Transactions on Software Engineering and Methodology (TOSEM 2025)</sub>
- [**TensorShield: TEEによる重要なDNNテンソルのシールドでオンデバイス推論を保護する**](https://arxiv.org/abs/2505.22735) [[コード](https://github.com/suntong30/TensorShield)]<br>
<sub>ACM SIGSAC コンピュータおよび通信セキュリティ会議 (CCS 2025)</sub>
#### 難読化によるオフローディング
- [**GroupCover: TEEに基づくオンデバイスモデル保護のためのセキュアで効率的かつスケーラブルな推論フレームワーク**](https://proceedings.mlr.press/v235/zhang24bn.html) [[コード](https://github.com/ZzzzMe/GroupCover)]<br>
<sub>国際機械学習会議 (ICML 2024)</sub>
- [**Game of Arrows: オンデバイスTEEシールドLLM分割アルゴリズムにおける重み難読化の（非）安全性について**](https://www.usenix.org/conference/usenixsecurity25/presentation/wang-pengli) [[コード](https://github.com/qsxltss/Game-of-Arrows)]<br>
<sub>USENIXセキュリティシンポジウム (USENIX Security 2025)</sub>
- [**MirageNet: 異種TEEおよびGPUシステムにおけるセキュアで効率的かつスケーラブルなオンデバイスモデル保護**](https://arxiv.org/abs/2601.13826)<br>
<sub>arXivプレプリント (arXiv 2026)</sub>
<a id="model-watermarking"></a>
<img src="https://img.shields.io/badge/Model%20Watermarking-0E7490?style=flat" height="24" align="absmiddle" />
- [**THEMIS: 展開後オンデバイス深層学習モデルの実用的な知的財産保護に向けて**](https://www.usenix.org/conference/usenixsecurity25/presentation/huang-yujin) [[コード](https://github.com/Jinxhy/THEMIS)]<br>
<sub>USENIXセキュリティシンポジウム (USENIX Security 2025)</sub>
## 未解決の問題
以下の未解決の問題は、私たちのSoKで特定された主要な研究ギャップをまとめたものです。このリポジトリを利用する読者のために、ここでは説明を高水準に保っています。より技術的な議論は論文に記載されています。
<img src="https://img.shields.io/badge/ATTACK%20OPS%20%E2%80%94%20FROM%20MODEL%20ACCESS%20TO%20DEPLOYABLE%20ATTACKS-7F1D1D?style=for-the-badge" height="28" align="absmiddle" />
1. **攻撃展開の実用性。**
オンデバイスモデルに対する敵対的攻撃は、モデル入力の制御、敵対的摂動の挿入、または前処理コードを変更するためのアプリの再パッケージ化を必要とすることが多いため、展開後も実現が困難です。これらのステップは、実際のエンドユーザー展開では非現実的または検出可能な場合があります。
2. **ステルス性の高いモデル改変。**
バックドア攻撃は、オンデバイスモデルが通常読み取り専用かつ推論専用であるため、標準的なトレーニング時のポイズニングを超えた展開後のエントリポイントを見つける必要があります。重要な課題は、モデルアーティファクトに観測可能な変化を生じさせることなく、隠れた悪意のある動作を導入することです。
3. **精密な重みの特定。**
敵対的重み攻撃はパラメータレベルの整合性リスクを露呈しますが、実用的な展開は、大規模なパラメータ探索空間内で動作上重要な重みを特定することに依存します。攻撃者は勾配のガイダンスを欠いていることが多く、選択したパラメータのみを変更しながら良性のユーティリティを維持する必要があるため、これは困難です。
4. **信頼性の高いモデル抽出。**
ローカルモデルストレージはモデル窃取を単純化しません。実用的な抽出は、カスタマイズされた暗号化アルゴリズム、非標準のAIフレームワーク、およびランタイム固有のロード動作が存在する中で、信頼性の高いモデル識別、復号、および再構築に依然依存しています。
5. **ハードウェアの異種性。**
エネルギー遅延攻撃は、ポイズニングされた活性化パターンがデバイス固有の実行動作とどのように相互作用するかに依存します。これらはスパース性に敏感なアクセラレータでの遅延とエネルギー消費を増幅する可能性がありますが、スパース性依存の実行を持たないハードウェアには転送されない場合があります。
<img src="https://img.shields.io/badge/DEFENSE%20OPS%20%E2%80%94%20FROM%20PROTECTION%20MECHANISMS%20TO%20POST--RELEASE%20GUARANTEES-166534?style=for-the-badge" height="28" align="absmiddle" />
6. **実行可能な等価性。**
モデル難読化は、許可された推論中に元の予測関数を維持する必要があります。この実行可能な等価性は、意味的、構造的、またはパラメータの回復を可能にする回復可能なランタイム状態、変換された重み、演算子のセマンティクス、または構造的トレースを露呈する可能性があります。
7. **クライアント側の強制。**
モデル認可は、正しい推論を資格情報、整合性チェック、およびパックされた重みの回復に結び付けます。ただし、これらのチェックはモバイルスタック内で実行する必要があり、展開後にリバースエンジニアリング、再パッケージ化、フック、またはインストルメント化できるクライアント側コードに強制が依存することになります。
8. **TEE展開の実現可能性。**
TEE防御は、モデル形式、AIフレームワーク、演算子ライブラリ、デリゲート、アクセラレータ、およびCPU/GPU/NPU分離インターフェースにわたる協調的なサポートを必要とします。現在のモバイルエコシステムには、広く採用され、開発者透過的なTEEバックアップ推論スタックが依然として不足しています。
9. **ウォーターマークの堅牢性。**
モデルウォーターマーキングは展開後の所有権検証を可能にしますが、窃取されたモデルはフレームワーク変換、暗号化、またはアプリレベルの入出力仲介を通じて再展開される可能性があります。これらの変換は、検証に使用されるトリガー応答、信頼パターン、または出力セマンティクスを破壊しながら、良性の推論を維持する可能性があります。
## 新たな方向性
上記の9つの未解決の問題に加えて、私たちのSoKは、MoAIセキュリティが次に拡大する可能性が高い3つの新たな方向性を強調しています。これらの方向性は、MoAIセキュリティ研究を体系的な評価へと移行させるとともに、オンデバイストレーニングとエージェント型MoAIシステムによって導入される新たな攻撃面にその範囲を拡大します。ここでは高水準で要約します。付随する論文には、より詳細な動機、脅威面、および研究課題が記載されています。
<img src="https://img.shields.io/badge/Unified%20MoAI%20Security%20Benchmarking-7E22CE?style=for-the-badge" height="28" align="absmiddle" />
---
[Read more](https://github.com/jinxhy/awesome-moai-security)